| FTP（文件傳輸協(xié)議）是一個(gè)較老且最常用的標準網(wǎng)絡(luò )協(xié)議，用于在兩臺計算機之間通過(guò)網(wǎng)絡(luò )上傳/下載文件。然而， FTP 最初的時(shí)候并不安全，因為它僅通過(guò)用戶(hù)憑證（用戶(hù)名和密碼）傳輸數據，沒(méi)有進(jìn)行加密。 |
FTP（文件傳輸協(xié)議）是一個(gè)較老且最常用的標準網(wǎng)絡(luò )協(xié)議，用于在兩臺計算機之間通過(guò)網(wǎng)絡(luò )上傳/下載文件。然而， FTP 最初的時(shí)候并不安全，因為它僅通過(guò)用戶(hù)憑證（用戶(hù)名和密碼）傳輸數據，沒(méi)有進(jìn)行加密。
警告：如果你打算使用 FTP， 需要考慮通過(guò) SSL/TLS配置 FTP 連接。否則，使用安全 FTP，比如 SFTP 會(huì )更好一些。
在這個(gè)教程中，我將向你們展示如何在 Ubuntu 中安裝、配置并保護 FTP 服務(wù)器（VSFTPD 的全稱(chēng)是 “Very Secure FTP Deamon”），從而擁有強大的安全性，能夠防范 FTP 漏洞。
第一步：在 Ubuntu 中安裝 VSFTPD 服務(wù)器
首先，我們需要更新系統安裝包列表，然后像下面這樣安裝 VSFTPD 二進(jìn)制包：
$ sudo apt-get update $ sudo apt-get install vsftpd
一旦安裝完成，初始情況下服務(wù)被禁用。因此，我們需要手動(dòng)開(kāi)啟服務(wù)，同時(shí)，啟動(dòng)它使得在下次開(kāi)機時(shí)能夠自動(dòng)開(kāi)啟服務(wù)：
------------- On SystemD ------------- # systemctl start vsftpd # systemctl enable vsftpd ------------- On SysVInit ------------- # service vsftpd start # chkconfig --level 35 vsftpd on
接下來(lái)，如果你在服務(wù)器上啟用了 UFW 防火墻（默認情況下不啟用），那么需要打開(kāi)端口 20 和 21 —— FTP 守護進(jìn)程正在監聽(tīng)它們——從而才能允許從遠程機器訪(fǎng)問(wèn) FTP 服務(wù)，然后，像下面這樣添加新的防火墻規則：
$ sudo ufw allow 20/tcp $ sudo ufw allow 21/tcp $ sudo ufw status
第二步：在 Ubuntu 中配置并保護 VSFTPD 服務(wù)器
讓我們進(jìn)行一些配置來(lái)設置和保護 FTP 服務(wù)器。首先，我們像下面這樣創(chuàng )建一個(gè)原始配置文件 /etc/vsftpd/vsftpd.conf 的備份文件：
$ sudo cp /etc/vsftpd.conf /etc/vsftpd.conf.orig
接下來(lái)，打開(kāi) vsftpd 配置文件。
$ sudo vi /etc/vsftpd.conf OR $ sudo nano /etc/vsftpd.conf
把下面的這些選項添加/改成所展示的值：
anonymous_enable=NO # 關(guān)閉匿名登錄 local_enable=YES # 允許本地用戶(hù)登錄 write_enable=YES # 啟用可以修改文件的 FTP 命令 local_umask=022 # 本地用戶(hù)創(chuàng )建文件的 umask 值 dirmessage_enable=YES # 當用戶(hù)第一次進(jìn)入新目錄時(shí)顯示提示消息 xferlog_enable=YES # 一個(gè)存有詳細的上傳和下載信息的日志文件 connect_from_port_20=YES # 在服務(wù)器上針對 PORT 類(lèi)型的連接使用端口 20（FTP 數據） xferlog_std_format=YES # 保持標準日志文件格式 listen=NO # 阻止 vsftpd 在獨立模式下運行 listen_ipv6=YES # vsftpd 將監聽(tīng) ipv6 而不是 IPv4，你可以根據你的網(wǎng)絡(luò )情況設置 pam_service_name=vsftpd # vsftpd 將使用的 PAM 驗證設備的名字 userlist_enable=YES # 允許 vsftpd 加載用戶(hù)名字列表 tcp_wrappers=YES # 打開(kāi) tcp 包裝器
現在，配置 VSFTPD ，基于用戶(hù)列表文件/etc/vsftpd.userlist 來(lái)允許或拒絕用戶(hù)訪(fǎng)問(wèn) FTP。
注意，在默認情況下，如果通過(guò)userlist_enable=YES 啟用了用戶(hù)列表，且設置userlist_deny=YES 時(shí)，那么，用戶(hù)列表文件/etc/vsftpd.userlist 中的用戶(hù)是不能登錄訪(fǎng)問(wèn)的。
但是，選項userlist_deny=NO 則反轉了默認設置，這種情況下只有用戶(hù)名被明確列出在/etc/vsftpd.userlist 中的用戶(hù)才允許登錄到 FTP 服務(wù)器。
userlist_enable=YES # vsftpd 將會(huì )從所給的用戶(hù)列表文件中加載用戶(hù)名字列表 userlist_file=/etc/vsftpd.userlist # 存儲用戶(hù)名字的列表 userlist_deny=NO
重要的是，當用戶(hù)登錄 FTP 服務(wù)器以后，他們將進(jìn)入 chrooted 環(huán)境，即當在 FTP 會(huì )話(huà)時(shí)，其 root 目錄將是其 home 目錄。
接下來(lái)，我們來(lái)看一看兩種可能的途徑來(lái)設置 chrooted（本地 root）目錄，正如下面所展示的。
這時(shí)，讓我們添加/修改/取消這兩個(gè)選項來(lái)將 FTP 用戶(hù)限制在其 home 目錄
chroot_local_user=YES allow_writeable_chroot=YES
選項chroot_local_user=YES 意味著(zhù)本地用戶(hù)將進(jìn)入 chroot 環(huán)境，當登錄以后默認情況下是其 home 目錄。
并且我們要知道，默認情況下，出于安全原因，VSFTPD 不允許 chroot 目錄具有可寫(xiě)權限。然而，我們可以通過(guò)選項 allow_writeable_chroot=YES 來(lái)改變這個(gè)設置
保存文件然后關(guān)閉?，F在我們需要重啟 VSFTPD 服務(wù)從而使上面的這些更改生效：
------------- On SystemD ------------- # systemctl restart vsftpd ------------- On SysVInit ------------- # service vsftpd restart
第三步：在 Ubuntu 上測試 VsFTP 服務(wù)器
現在，我們通過(guò)使用下面展示的 useradd 命令創(chuàng )建一個(gè) FTP 用戶(hù)來(lái)測試 FTP 服務(wù)器：
$ sudo useradd -m -c "Aaron Kili, Contributor" -s /bin/bash aaronkilik $ sudo passwd aaronkilik
然后，我們需要像下面這樣使用 echo 命令和 tee 命令來(lái)明確地列出文件/etc/vsftpd.userlist 中的用戶(hù) aaronkilik：
$ echo "aaronkilik" | sudo tee -a /etc/vsftpd.userlist $ cat /etc/vsftpd.userlist
現在，是時(shí)候來(lái)測試上面的配置是否具有我們想要的功能了。我們首先測試匿名登錄；我們可以從下面的輸出中很清楚的看到，在這個(gè) FTP 服務(wù)器中是不允許匿名登錄的：
# ftp 192.168.56.102 Connected to 192.168.56.102 (192.168.56.102). 220 Welcome to TecMint.com FTP service. Name (192.168.56.102:aaronkilik) : anonymous 530 Permission denied. Login failed. ftp> bye 221 Goodbye.
接下來(lái)，我們將測試，如果用戶(hù)的名字沒(méi)有在文件/etc/vsftpd.userlist 中，是否能夠登錄。從下面的輸出中，我們看到，這是不可以的：
# ftp 192.168.56.102 Connected to 192.168.56.102 (192.168.56.102). 220 Welcome to TecMint.com FTP service. Name (192.168.56.10:root) : user1 530 Permission denied. Login failed. ftp> bye 221 Goodbye.
現在，我們將進(jìn)行最后一項測試，來(lái)確定列在文件/etc/vsftpd.userlist 文件中的用戶(hù)登錄以后，是否實(shí)際處于 home 目錄。從下面的輸出中可知，是這樣的：
# ftp 192.168.56.102 Connected to 192.168.56.102 (192.168.56.102). 220 Welcome to TecMint.com FTP service. Name (192.168.56.102:aaronkilik) : aaronkilik 331 Please specify the password. Password: 230 Login successful. Remote system type is UNIX. Using binary mode to transfer files. ftp> ls
在 Ubuntu 中確認 FTP 登錄
警告：設置選項allow_writeable_chroot=YES 是很危險的，特別是如果用戶(hù)具有上傳權限，或者可以 shell 訪(fǎng)問(wèn)的時(shí)候，很可能會(huì )出現安全問(wèn)題。只有當你確切的知道你在做什么的時(shí)候，才可以使用這個(gè)選項。
我們需要注意，這些安全問(wèn)題不僅會(huì )影響到 VSFTPD，也會(huì )影響讓本地用戶(hù)進(jìn)入 chroot 環(huán)境的 FTP daemon。
因為這些原因，在下一步中，我將闡述一個(gè)更安全的方法，來(lái)幫助用戶(hù)設置一個(gè)非可寫(xiě)本地 root 目錄。
第四步：在 Ubuntu 中配置 FTP 用戶(hù)的 Home 目錄
現在，再次打開(kāi) VSFTPD 配置文件。
$ sudo vi /etc/vsftpd.conf OR $ sudo nano /etc/vsftpd.conf
然后像下面這樣用# 把不安全選項注釋了：
#allow_writeable_chroot=YES
接下來(lái)，為用戶(hù)創(chuàng )建一個(gè)替代的本地 root 目錄（aaronkilik，你的可能和這不一樣），然后設置目錄權限，取消其他所有用戶(hù)對此目錄的寫(xiě)入權限：
$ sudo mkdir /home/aaronkilik/ftp $ sudo chown nobody:nogroup /home/aaronkilik/ftp $ sudo chmod a-w /home/aaronkilik/ftp
然后，在本地 root 目錄下創(chuàng )建一個(gè)具有合適權限的目錄，用戶(hù)將在這兒存儲文件：
$ sudo mkdir /home/aaronkilik/ftp/files $ sudo chown -R aaronkilk:aaronkilik /home/aaronkilik/ftp/files $ sudo chmod -R 0770 /home/aaronkilik/ftp/files/
之后，將 VSFTPD 配置文件中的下面這些選項添加/修改為相應的值：
user_sub_token=$USER # 在本地 root 目錄中插入用戶(hù)名 local_root=/home/$USER/ftp # 定義各個(gè)用戶(hù)的本地 root 目錄
保存文件并關(guān)閉。然后重啟 VSFTPD 服務(wù)來(lái)使上面的設置生效：
------------- On SystemD ------------- # systemctl restart vsftpd ------------- On SysVInit ------------- # service vsftpd restart
現在，讓我們來(lái)最后檢查一下，確保用戶(hù)的本地 root 目錄是我們在他的 Home 目錄中創(chuàng )建的 FTP 目錄。
# ftp 192.168.56.102 Connected to 192.168.56.102 (192.168.56.102). 220 Welcome to TecMint.com FTP service. Name (192.168.56.10:aaronkilik) : aaronkilik 331 Please specify the password. Password: 230 Login successful. Remote system type is UNIX. Using binary mode to transfer files. ftp> ls
FTP 用戶(hù) Home 目錄登錄
聯(lián)系客服
